Tuyên án nhóm tạo mã độc, chiếm quyền hơn 12.000 máy tính tại hơn 90 quốc gia

Chiều 16/9, TAND TPHCM tuyên phạt Lê Ngọc Sơn (SN 1994) và Lê Đức Tài (SN 1994) cùng mức án 8 năm tù về hai tội “Sản xuất, mua bán, trao đổi hoặc tặng cho công cụ, thiết bị, phần mềm để sử dụng vào mục đích trái pháp luật” và “Xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác”.

Ngoài hình phạt tù, Sơn bị phạt bổ sung 200 triệu đồng, Tài bị phạt 50 triệu đồng.

13 bị cáo còn lại bị tuyên phạt từ phạt tiền 100 triệu đồng đến 7 năm tù cùng về tội “Xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác”.

Tạo mã độc để đánh cắp tài khoản quảng cáo Facebook

Theo cáo trạng, khoảng cuối năm 2022, Lê Ngọc Sơn nảy sinh ý định tạo mã độc nhằm đánh cắp thông tin tài khoản quảng cáo Facebook để kiếm tiền.

Sơn bàn bạc với Lê Đức Tài, là bạn học và có trình độ cử nhân công nghệ thông tin. Tài đồng ý tham gia và tạo mã độc, sau đó nhúng vào các tập tin hợp pháp như Word, PDF để đánh lừa người dùng tải về.

Sơn sử dụng LinkedIn để phát tán các tập tin này thông qua những kịch bản tuyển dụng, quảng cáo có gắn đường link. Khi người dùng tin tưởng tải và mở tập tin, mã độc tự động thực thi, xâm nhập máy tính và đánh cắp thông tin đăng nhập tài khoản quảng cáo Facebook.

Thông tin đánh cắp được tự động gửi về lưu trữ trên Google Sheet.

Sau khi có tài khoản, Sơn sử dụng để chạy quảng cáo bán hàng tại chính quốc gia hoặc khu vực của chủ tài khoản. Chi phí quảng cáo bị Facebook trừ trực tiếp vào tiền hoặc hạn mức tín dụng của người quản lý tài khoản bị chiếm đoạt.

Từ cuối năm 2022 đến khoảng tháng 5/2023, do mã độc nhiều lần bị phần mềm diệt virus phát hiện, Tài tiếp tục chỉnh sửa mã nguồn nhằm vượt qua các cảnh báo bảo mật.

Đến khoảng tháng 4 hoặc 5/2023, khi mã độc cũ không còn hiệu quả, Sơn đề nghị Tài tạo mã độc mới. Tài tìm mua mã nguồn điều khiển từ xa RDP trên Telegram với giá 40.000 USD do Sơn chi trả. Sau đó, Tài tiếp tục phát triển thành công cụ có khả năng vượt qua cảnh báo bảo mật, tải mã nguồn thực thi và chiếm quyền điều khiển máy tính.

Tài còn tự phát triển công cụ “botbuilder” để nhúng mã độc vào các tập tin hợp pháp. Khi nạn nhân tải và mở tập tin, mã độc sẽ tự động thực thi.

Thông qua công cụ “VNC Viewer”, các đối tượng có thể truy cập máy tính đã bị chiếm quyền, xem dữ liệu, màn hình và thực hiện nhiều thao tác từ xa.

Khoảng tháng 7 hoặc 8/2023, Tài hoàn chỉnh mã độc và bàn giao cho Sơn vận hành. Tài đồng thời hướng dẫn, sửa lỗi và chỉ cách khai thác công cụ cho những người trong nhóm của Sơn. Đổi lại, Tài được Sơn trả khoảng 1 tỷ đồng.

Hàng nghìn máy tính tại hơn 90 quốc gia bị chiếm quyền

Để phát tán mã độc, Sơn thuê Lương Đình Việt, Trần Hồng Khiêm, Nguyễn Trịnh Quốc, Võ Hữu Hải và Nguyễn Duy Luân tham gia nhóm chat trên Telegram, hướng dẫn sử dụng các công cụ.

Nhóm này tạo các tập tin chứa mã độc, tạo đường link rồi phát tán dưới các bài tuyển dụng, quảng cáo trên Facebook, LinkedIn.

Cơ quan điều tra xác định Lương Đình Việt đã chiếm quyền 64 máy tính, hưởng lợi khoảng 2 tỷ đồng; Nguyễn Trịnh Quốc xâm nhập 96 máy tính, hưởng lợi 150 triệu đồng; Võ Hữu Hải xâm nhập 116 máy tính, hưởng lợi 94 triệu đồng; Nguyễn Duy Luân liên quan khoảng 520 máy tính, hưởng lợi 250 triệu đồng; Trần Hồng Khiêm xâm nhập 108 máy tính, hưởng lợi khoảng 315 triệu đồng.

Ngoài ra, Nguyễn Hoàng Khiêm bị xác định đã xâm nhập 913 thiết bị, thu lợi khoảng 1 tỷ đồng, trong đó chia cho Sơn 300 triệu đồng.

Nguyễn Trí Minh Thông tham gia phát tán mã độc và từng khai nhận đánh cắp khoảng 70-80 tài khoản Facebook rồi bán lại với giá từ 50.000 đồng đến 2 triệu đồng/tài khoản.

Nguyễn Văn Quyết còn hướng dẫn Nguyễn Như Phong, Nguyễn Anh Tuấn và Nguyễn Tiến Sỹ cùng thực hiện. Mỗi người được xác định hưởng lợi 300 triệu đồng.

Dương Việt Dũng không trực tiếp xâm nhập máy tính nhưng sử dụng phần mềm điều khiển từ xa để khai thác trái phép các tài khoản quảng cáo Facebook bị đánh cắp.

Theo kết quả điều tra, Sơn thu lợi khoảng 7,7 tỷ đồng. Sau khi chi trả tiền công cho các bị cáo khác, Sơn thực tế được hưởng khoảng 3,891 tỷ đồng.

Tổng số tiền thu lợi bất chính mà 15 bị cáo phải chịu trách nhiệm hình sự được xác định từ 94 triệu đồng đến gần 3,9 tỷ đồng.

Đáng chú ý, dữ liệu từ máy chủ đặt tại một căn hộ ở TPHCM thể hiện có 12.485 máy tính bị lây nhiễm mã độc và chiếm quyền điều khiển. Trong đó, 125 máy có địa chỉ IP tại Việt Nam, còn 12.360 máy thuộc hơn 90 quốc gia.

Cơ quan điều tra thu giữ hơn 50 tập tin mã độc. Kết quả phân tích của Trung tâm Ứng cứu khẩn cấp không gian mạng Việt Nam xác định hai tập tin được trích xuất đều là mã độc, có khả năng kết nối, tải thêm mã độc từ máy chủ bên ngoài, tạo tài khoản trên máy tính nạn nhân và cho phép tin tặc xâm nhập bất hợp pháp để thực hiện các hành vi độc hại khác.

Cáo trạng xác định Lê Ngọc Sơn và Lê Đức Tài chịu trách nhiệm về hành vi sản xuất phần mềm, công cụ có tính năng xâm nhập trái phép nhằm sử dụng vào mục đích bất hợp pháp.

Các bị cáo còn lại tham gia ở nhiều vai trò khác nhau trong việc phát tán, sử dụng mã độc, xâm nhập máy tính và khai thác trái phép các tài khoản quảng cáo.

Quá trình điều tra, các bị cáo thừa nhận hành vi phạm tội. Hồ sơ vụ án thể hiện lời khai của các bị cáo phù hợp với tài liệu, dữ liệu điện tử thu giữ và kết quả giám định.

Đối với người tên Mạnh chưa xác định được lai lịch, Cơ quan Cảnh sát điều tra Công an TPHCM tiếp tục xác minh, xử lý sau.